Cette semaine, CTI vous propose un point sur le chargeur FakeBat, notamment sur ses principaux modes de diffusion et son infrastructure malveillante. CTI présente également les principales conclusions du récent rapport d'ESET sur les menaces, portant sur le premier semestre de 2024.
1. Le logiciel malveillant « FakeBat Loader-as-a-Service » se propage via plusieurs chaînes
Sekoia a recensé plusieurs campagnes FakeBat différentes à ce jour en 2024. Son dernier rapport examine en détail les différentes méthodes de distribution et les éléments d'infrastructure qu'ils ont identifiés.
Selon Sekoia, , le chargeur FakeBat , a été l'un des chargeurs ayant eu la plus grande portée au premier trimestre de 2024 pour exploiter le téléchargement par détournement. Le lanceur était généralement utilisé pour mettre en orbite une charge utile de deuxième étage, comme Lumma, RedLine et d'autres.
FakeBat sur les forums cybercriminels
FakeBat a été repéré pour la première fois sur un forum clandestin, décembre 2022 , où il était proposé et vendu comme un « loader-as-a-service » dans la section « Exploit ». Il était présenté comme un logiciel malveillant de type « loader » au format MSI, doté de diverses fonctionnalités anti-détection. Le chargeur met également à la disposition de ses utilisateurs un panneau d'administration leur permettant de créer et de gérer leurs campagnes.
Les acteurs impliqués dans la diffusion de FakeBat
Sekoia a identifié plusieurs chaînes d'infection par FakeBat qui, selon elle, correspondent à plusieurs clients différents du MaaS.
Ils ont également identifié plusieurs campagnes se faisant passer pour des logiciels populaires, notamment 1Password, Chrome, Microsoft Teams, Zoom, VMware et bien d'autres encore. Les auteurs de ces campagnes utilisent Google Ads pour faire apparaître ces sites web malveillants en haut de la page. Lorsqu'une victime clique sur l'un de ces sites malveillants, elle est redirigée vers une page qui ressemble fortement au site légitime. Un bouton présent sur la page redirigera l'utilisateur et déclenchera le téléchargement d'un fichier MSIX signé, également appelé FakeBat.
Des cybercriminels piratent également des sites WordPress afin de faire croire aux utilisateurs que leur navigateur Chrome doit être mis à jour. Au juin 2024, Sekoia a recensé plus de 250 sites web compromis qui entraînent le téléchargement de FakeBat.
Un troisième mode de diffusion a été observé dans « mai 2024 », qui s'adressait à la communauté web3 . Dans le cadre de cette vague d'activité, le logiciel malveillant a été diffusé sous la forme d'une fausse application de chat « web3 ». L'auteur de la menace a utilisé des sites web, des comptes de réseaux sociaux vérifiés et des vidéos promotionnelles pour renforcer l'impression de légitimité de son application. Cette activité était un peu différente des autres, car elle nécessitait un code d'invitation pour pouvoir être téléchargée.
Infrastructure de l'adversaire
Sekoia a pu mettre au jour un nombre non négligeable d'infrastructures malveillantes liées aux campagnes FakeBat. Ils estiment que les récents serveurs FakeBat C2 sont susceptibles de « filtrer le trafic en fonction de caractéristiques telles que la valeur de l'agent utilisateur, l'adresse IP et la localisation », ce qui permet à l'opérateur de mettre en place un ciblage très stratégique et sur mesure. Des chercheurs ont également dressé une liste des serveurs FakeBat C2 et des domaines d'hébergement qui seraient détenus par les opérateurs de FakeBat.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il existe tellement d'offres MaaS qu'il peut être difficile de déterminer lesquelles constituent la plus grande menace. FakeBat, qui figure parmi les chargeurs les plus répandus utilisant la technique du « drive-by » dans la version 2024, mérite assurément que l'on s'y intéresse.
Le fait que ce logiciel malveillant ne soit vendu qu'à un nombre restreint d'utilisateurs le rend d'autant plus impressionnant, étant donné qu'il a eu des conséquences considérables. FakeBat semble être diffusé de multiples façons, ce qui s'explique probablement par le fait que différents acteurs utilisent ce logiciel malveillant. Cela dit, il est probable que ses modes de diffusion continuent d'évoluer, car les auteurs de menaces ne cessent de rechercher de nouvelles techniques.
2. Principales conclusions du rapport d'ESET sur les menaces
ESET a publié son rapport sur les menaces pour le premier semestre de 2024. Ce rapport présente les tendances en matière de menaces, de l'année décembre 2023 à l'année mai 2024 , sur la base des données télémétriques d'ESET.
Parmi les tendances observées, on note notamment une augmentation des logiciels malveillants de vol d'informations de type « » se faisant passer pour des outils d'IA générative, ainsi qu'une diminution des menaces visant Android.
Les menaces pesant sur Android sont en baisse
ESET a constaté une baisse du nombre de menaces Android détectées au cours du premier semestre. Cette baisse est quelque peu surprenante, car les menaces visant Android ont souvent tendance à augmenter à l'approche des événements saisonniers.
Malgré cette baisse, les logiciels malveillants Android continuent d'évoluer. Le malware GoldPickaxe, qui cible à la fois Android et iOS, en est un exemple. La version Android est diffusée sur des sites web qui se font passer pour le Google Play Store. On pense que l'auteur de ce logiciel malveillant est un groupe organisé de langue chinoise connu sous le nom de GoldFactory.
ESET a également constaté une évolution des menaces financières sur Android. Parmi les tactiques utilisées lors des récentes attaques de logiciels malveillants sur Android, on peut citer l'utilisation abusive des services d'accessibilité d'Android, le recours à des systèmes automatisés pour transférer des fonds sans autorisation et le contournement de la norme 2FA.
Menaces pesant sur Linux
Dans son rapport, ESET a analysé une menace spécifique visant Linux, baptisée « Opération Windigo ». Cette opération exploite la famille de logiciels malveillants Ebury, qui existe depuis environ 10 ans et continue de représenter une menace.
Ebury est une porte dérobée OpenSSH et un programme de vol d'identifiants qui constitue le cœur d'un ensemble de menaces côté serveur. Ce logiciel malveillant cible souvent les portefeuilles de cryptomonnaies, tirant parti de sa présence dans des centres de données à travers le monde pour mener des attaques de type « homme du milieu ».
Menaces liées à l'IA
Il n'est pas surprenant que plusieurs attaques impliquant d'une manière ou d'une autre l'IA aient été recensées au cours du premier semestre. ESET a constaté plusieurs cas dans lesquels les noms de modèles d'IA ont été utilisés comme appâts pour diffuser des logiciels malveillants. On en a eu un exemple lorsqu'ils ont repéré une extension de navigateur malveillante qui se présentait comme une application de bureau dédiée à l'IA, mais qui, en réalité, téléchargeait un logiciel malveillant.
Menaces sur Internet
L'exploitation des failles de sécurité des plugins WordPress a continué de constituer une menace au cours des six derniers mois. Il convient notamment de noter que les auteurs de menaces exploitent l'injecteur Balada et la famille JS/Agent.
Programmes de vol d'informations et de téléchargement
Les logiciels de vol d'informations restent également une préoccupation majeure, les auteurs de menaces y recourant de plus en plus pour cibler les éditeurs de jeux vidéo et les joueurs. Parmi les logiciels de vol d'informations les plus répandus ces derniers mois, on peut citer notamment RedLine et Lumma.
Les pirates ont commencé à diversifier leurs méthodes de diffusion, ce qui s'est traduit par une augmentation de 10 % du nombre de pirates au cours des derniers mois. Les menaces reposant sur des macros ont également augmenté au cours de cette période, bien que celles-ci soient bloquées par défaut par Microsoft.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
Il est important de garder à l'esprit que ces tendances reposent sur les données télémétriques d'une entité particulière et ne reflètent pas la situation dans son ensemble. Toutefois, bon nombre des tendances mises en évidence par ESET concordent avec celles d'autres études du secteur, et leur rapport constitue une lecture intéressante.
Ce qui est également intéressant, c'est la répartition des différents modes de diffusion des programmes de téléchargement, alors que les cybercriminels commencent à trouver de nouveaux moyens d'échapper à la détection. Par exemple, on commence à constater un recul de l'utilisation du HTML. Certains de ceux dont on entend souvent parler, notamment LNK et VBS, ne représentaient pas un pourcentage aussi élevé que nous le pensions.
Avez-vous des informations à partager concernant ces récits ? Rendez-vous sur , le forum de discussion de Tanium , et lancez une discussion.
Pour en savoir plus, consultez nos dernières synthèses sur les cybermenaces publiées dans « ».
